计算机网络安全大策略经验谈

　　作为企业的网络安全设计人员，在思考安全保障前，应该站在更高的高度，审视应该采用什么样的安全模型，这将在很大程度上影响后续安全策略的制定，它为整个企业的网络安全基础建设定下了一个基调，可谓网络安全之大策略。

　　结合自己实际工作经验，也有这样一种感觉，站得高度越高，对知识的掌握也就越系统。本篇就占用大家一点时间，介绍一下总体的网络安全模型。其可以按照所采取的安全方法（边界、分层）不同来分类，也可以按照系统的主动性来分类。

　　1、边界安全（Perimeter Security）模型

　　边界安全模型是把注意力都放在了网络边界，而不关心网络内部安全防护的模型。包括防火墙、应用网关、密码策略、以及各种网络访问授权技术都是基于边界安全的思想。边界安全方法保护了网络边界的安全，但通常许多网络内部系统也是脆弱的。

　　所以这种模型明显是不全面的，但为什么还有许多公司在使用它呢？小公司通常会因为预算紧张或缺少有经验的网络管理员而选择使用边界安全模型，通常就是买个防火墙完事。这对于没有敏感信息的小公司来说也许还行，但对于大公司来讲是远远不够的。最近频繁发生一些知名公司的客户信息被盗，有些甚至被盗了2年都没发现，这不得不说是安全保障的高度不够呀。

　　2、分层安全（Layered Security）

　　分层安全模型不但考虑到了网络边界安全，而且对网络内部的个人系统也一起进行了防护。所有服务器、工作站、路由器、集线器等网络内设备都进行了防护。为了实现这个目的，通常的一种方法是把网络分片防护，把每一片都作为一个独立网络，这样即使边界安全措施被攻破了，内部系统也不会完全受影响。无论任何时候，分层安全模型都是首选。

　　3、主动和被动安全模型

　　安全模型也可以通过主动性和响应速度来衡量。看一看系统安全设备以及策略中哪些可以主动调整来防止攻击，哪些仅仅是在攻击发生后作出适当响应。被动的安全方法在攻击发生前几乎不动作，而动态或主动的防御是在攻击发生前就开始响应了。一个主动防御的例子是IDS，它可以发现试图绕过安全防护措施的行为，并在侵入还未完成的时候就通知系统管理员。另外，IDS还可以检测入侵者所采用的各种攻击技术，甚至在攻击还未实施时就能够通知管理员。